Klijent WireGuard ma jistax jilħaq klijent OpenVPN?

Iż-żewġ tunelli jgħaqqdu, kull klijent jilħaq il-gateway, u fil-mument li wieħed jipprova l-indirizz tal-ieħor il-pakketti jisparixxu. Xejn mhu ħażin f'ebda waħda miż-żewġ handshakes, u l-ebda ħruġ mill-ġdid taċ-ċwievet ma jbiddel dan. Il-gateway iġorr pakketti IP ordinarji mhux encrypted bejn tnejn mill-interfaces tiegħu stess, għalhekk il-protokolli qatt ma għandhom bżonn jifhmu lil xulxin; dak li għandhom bżonn huma tliet affarijiet li l-ebda handshake ma jagħti. Kopertura tad-destinazzjoni fuq il-klijent tal-oriġini, sjieda tas-sors fil-gateway u rotta lura fuq in-naħa l-oħra. Is-sintomu huwa l-istess għat-tlieta, u għalhekk jiġu djanjostikati flimkien.

Is-sintomu għandu biċċa waħda nieqsa kull darba

Dan id-disinn juża pool WireGuard ta' 10.71.0.0/24 fuq wg1 u pool OpenVPN ta' 10.72.0.0/24 fuq tun1, it-tnejn jispiċċaw fuq gateway wieħed. It-talba taħt test tmur minn 10.71.0.5 għal HTTPS fuq 10.72.0.30. Kull pass hawn taħt huwa dwar dak il-fluss wieħed. Kull verifika għandha firma ta' falliment differenti għalkemm l-utent jesperjenzahom l-istess, u normalment nieqes biss wieħed mit-tlieta kull darba.

Ibda billi tikkonferma li ż-żewġ pools huma tabilħaqq fuq dan il-gateway u li l-ipproċessar 'il quddiem huwa mixgħul fin-namespace fejn jgħixu t-tunelli. Gateway li jtemm iż-żewġ protokolli f'namespaces differenti ma jgħaddix xejn bejniethom, u dan jiswa li tiġi eskluża qabel ma taqra kwalunkwe konfigurazzjoni ta' peer.

Kabbar il-kopertura tad-destinazzjoni tal-fergħa

Fuq il-klijent WireGuard, id-daħla tal-peer eżistenti trid tagħżel il-gateway għad-destinazzjoni OpenVPN, jiġifieri l-prefiss tad-destinazzjoni jrid jidher fil-lista permessa ta' dak il-peer. Iżżidu ma joħloqx it-tieni tunell; ibiddel liema peer il-klijent jagħżel meta jfittex dak l-indirizz, u b'wg-quick ir-rotta normalment issegwi l-lista awtomatikament.

AllowedIPs = 10.71.0.0/24, 10.72.0.0/24

Ħalli l-linji veri taċ-ċavetta u tal-punt aħħari mhux mittiefsa, u ftakar li manager li juża Table = off ma jieħu l-ebda rotta minn din il-lista xejn. F'dak il-każ l-istess prefiss irid jiġi installat fit-tabella tar-rotot tas-sistema min min għandu, u rotta nieqsa hemmhekk tidher eżattament bħal prefiss permess nieqes.

Żomm is-sjieda tas-sors fil-gateway

Id-daħla tal-peer ta' dan il-klijent fil-gateway għandha tkompli tippossjedi eżattament l-indirizz tas-sors ta' dak il-klijent. L-indirizzi permessi jiġu ċċekkjati fiż-żewġ direzzjonijiet: jagħżlu peer għat-traffiku li joħroġ u jivvalutaw li s-sors ta' pakkett li jidħol jappartjeni lill-peer li bagħtu. It-tqeghid tal-pool OpenVPN fid-daħla tal-fergħa għax il-fergħa trid tilħaqha huwa l-iżball li jmexxi t-traffiku lejn il-parteċipant żbaljat.

AllowedIPs = 10.71.0.5/32

Aqra dik id-daħla bħala dikjarazzjoni ta' sjieda u mhux bħala kumdità ta' routing. Kull ħaġa oħra li l-klijent irid jilħaq tappartjeni għal-lista tad-destinazzjonijiet tal-klijent, mhux għall-idea tal-gateway ta' x'jista' jibgħat dan il-peer.

Agħti lin-naħa OpenVPN rotta lura

Id-destinazzjoni issa għandha bżonn rotta lura lejn is-sors WireGuard, u għall-klijenti tal-pool din normalment tasal bħala rotta mbuttata mis-server OpenVPN. Imbottha biss lill-klijenti li għandu jkollhomha, u kkonferma fuq il-klijent li ntlaqgħet minflok ma tassumi li d-direttiva ġiet applikata.

push "route 10.71.0.0 255.255.255.0"

It-tqassim tar-rotot mhuwiex awtorizzazzjoni. Meta d-destinazzjoni tkun wara klijent OpenVPN ieħor u mhux fil-pool, is-sjieda tal-LAN tal-klijent stess u r-rekwiżiti tiegħu ta' l-ipproċessar 'il quddiem jissieħbu fid-disinn, u r-rotta mbuttata hija biss l-ewwel nofs. Erġa' ifformula r-rekwiżit bħala graff qabel ma żżid direttivi: liema nod jippossjedi liema prefiss, u liema nod jgħaddi lejh.

Ħalli biss dik is-servizz wieħed li kellek ħsieb tħalli

Bil-ipproċessar 'il quddiem mixgħul u ż-żewġ pools routabbli, il-mistoqsija li tibqa' hija ta' politika. Ikteb ir-regola għall-fluss konkret u mhux għall-par ta' interfaces b'mod ġenerali, ippreviewja qabel ma tapplika, u żomm il-mogħdija lura bl-istat sabiex it-tweġibiet ma jiġux imblukkati bħala konnessjonijiet ġodda. Prova xotta ma tiswiex xejn u turi eżattament x'jiġi miżjud.

sudo ufw --dry-run route allow in on wg1 out on tun1 proto tcp from 10.71.0.5 to 10.72.0.30 port 443

Dawn huma regoli għal traffiku mibgħut 'il quddiem, separati mir-regoli tas-smigħ tal-gateway għaż-żewġ servizzi VPN. Il-ftuħ tal-portijiet UDP ta' barra ma jawtorizzax it-talba ta' ġewwa, u l-awtorizzazzjoni tat-talba ta' ġewwa ma tirrikjedix SSH bla limiti lejn il-gateway jew permess awtomatiku fuq l-ipproċessar 'il quddiem. Il-firewall tad-destinazzjoni nnifisha u l-indirizz tas-smigħ iridu wkoll jaqblu, għax servizz marbut mal-loopback jirrifjuta l-pakkett l-aktar attent fl-għoti tar-rotta. Politika li tkopri direzzjoni waħda biss tal-konversazzjoni normalment tfalli b'talba ta' suċċess u tweġiba siekta, li huwa l-aktar riżultat konfuż mit-tlieta.

Rotot reċiproki normalment ifissru li mhemmx bżonn traduzzjoni tas-sors, li tippreserva l-indirizz WireGuard fid-destinazzjoni u tagħmel il-logs jinqraw. Iżżidx masquerading ġenerali għax huma involuti żewġ protokolli, u tneħħix regola ta' traduzzjoni eżistenti mingħajr ma tkun taf x'jiddependi minnha. Imbagħad ivverifika l-fluss wieħed mill-bidu sat-tmiem, u pprova wkoll sors jew port wieħed mhux permess: handshake li jaħdem fuq kull naħa ma jippruvax la r-rotta maqtugħa u lanqas l-iżolament.